Remote Work ist längst keine vorübergehende Ausnahme mehr. Für viele Unternehmen ist sie Teil eines umfassenderen Hybrid-Work-Modells geworden, bei dem Mitarbeitende zwischen Büros, dem eigenen Zuhause, Reisezielen, Coworking Spaces und externen Kollaborationsumgebungen wechseln.

Diese Entwicklung verändert die Sicherheitsanforderungen. Es geht nicht mehr nur darum, Menschen im Homeoffice zu schützen. Die eigentliche Herausforderung besteht darin, Unternehmensdaten zu schützen, während sie sich über Standorte, Geräte, Cloud-Tools, Postfächer, geteilte Links und externe Partner hinweg bewegen.

In diesem Sinne ist Remote-Work-Sicherheit zu Kollaborationssicherheit geworden. Teams müssen sensible Informationen von überall aus abrufen, teilen und verwalten können, ohne die Kontrolle darüber zu verlieren, wer sie sehen, herunterladen, weiterleiten oder nach Projektende weiterhin darauf zugreifen kann.

Remote- und Hybrid-Work-Sicherheit bedeutet, Unternehmensdaten, Nutzer, Geräte und Kollaborationsprozesse überall dort zu schützen, wo Arbeit stattfindet: im Büro, zu Hause, unterwegs oder gemeinsam mit externen Partnern.

Das Ziel ist nicht, Remote Work komplizierter zu machen. Das Ziel ist, den sicheren Weg der Zusammenarbeit zum einfachsten Weg der Zusammenarbeit zu machen.

Warum Remote Work das Sicherheitsrisiko erhöht

Remote Work erweitert die Anzahl der Orte, an denen Geschäftsdaten offengelegt werden können. Eine Datei kann auf einem privaten Laptop geöffnet, per E-Mail geteilt, auf ein Mobilgerät heruntergeladen, an einen externen Partner gesendet oder über ein öffentliches WLAN aufgerufen werden.

Jeder dieser Schritte erhöht das Risiko, wenn die richtigen Sicherheitskontrollen fehlen. Angreifer müssen nicht immer in ein Unternehmensnetzwerk eindringen. Sie können ein Mitarbeiterkonto ins Visier nehmen, ein Passwort stehlen, jemanden dazu bringen, auf einen Phishing-Link zu klicken, oder ein nicht verwaltetes Gerät ausnutzen.

Remote-Teams treffen außerdem im Arbeitsalltag häufiger sicherheitsrelevante Entscheidungen:

• Welches Tool sollte ich verwenden, um diese Datei zu senden?
• Ist dieser geteilte Link sicher genug, um weitergeleitet zu werden?
• Darf dieses Dokument heruntergeladen werden?
• Sollte dieser externe Partner weiterhin Zugriff haben?
• Ist dieses Gerät für Unternehmensdaten zugelassen?
• Ist dieser Anmeldeversuch legitim?

Wenn Sicherheitstools zu langsam oder zu kompliziert sind, suchen Mitarbeitende oft nach Abkürzungen. Sie versenden Dateien als E-Mail-Anhänge, nutzen private Cloud-Speicher oder teilen Dokumente über nicht genehmigte Apps. Genau an diesen Stellen entsteht häufig das eigentliche Sicherheitsproblem bei Remote Work.

Remote-Work-Sicherheit scheitert, wenn Sicherheitskontrollen nicht dazu passen, wie Menschen tatsächlich zusammenarbeiten. Wenn genehmigte Tools das Teilen von Dateien erschweren, erstellen Mitarbeitende eher unverwaltete Kopien außerhalb der Unternehmenssichtbarkeit.

Die größten Sicherheitsrisiken bei Remote und Hybrid Work

1. Phishing, AI-Phishing und gestohlene Zugangsdaten

Phishing gehört zu den häufigsten Risiken für Remote-Mitarbeitende. Angreifer versenden E-Mails oder Nachrichten, die wie normale geschäftliche Anfragen aussehen, zum Beispiel ein geteiltes Dokument, eine Passwortzurücksetzung, eine Rechnungsfreigabe oder eine IT-Benachrichtigung.

KI macht diese Angriffe schwerer erkennbar. Angreifer können heute überzeugend formulierte Phishing-E-Mails erstellen, Nachrichten anhand öffentlich verfügbarer Informationen personalisieren, Stimmen klonen und sogar realistisch wirkende Audio- oder Videoanfragen erzeugen. Ein Remote-Mitarbeitender könnte zum Beispiel eine dringende Freigabeanfrage erhalten, die scheinbar von einer Führungskraft stammt, und kurz darauf einen vertraut klingenden Anruf bekommen, der die Dringlichkeit bestätigt.

Wenn Sprache, Tonalität und Kontext legitim wirken, reichen klassische Warnzeichen nicht mehr aus. Verdächtige Anfragen, insbesondere wenn es um Zahlungen, Zugangsdaten, vertrauliche Dateien oder Zugriffsfreigaben geht, sollten immer über einen unabhängigen Kanal verifiziert werden.

Wenn Mitarbeitende ihre Zugangsdaten auf einer gefälschten Login-Seite eingeben, können Angreifer Zugriff auf E-Mails, Cloud-Speicher, Kollaborationstools und sensible Dateien erhalten. Besonders gefährlich ist das, wenn Konten nur durch Passwörter geschützt sind.

Remote-Teams sollten Multi-Faktor-Authentifizierung, E-Mail-Schutz, Nutzerschulungen und klare Meldewege einsetzen. Mitarbeitende brauchen außerdem einfache interne Regeln, um risikoreiche Anfragen zu bestätigen, bevor sie handeln.

2. Unkontrolliertes Teilen von Dateien und externe Zusammenarbeit

Remote- und Hybrid-Teams sind auf schnelles Teilen von Dateien angewiesen. Ein Vertriebsteam teilt vielleicht ein Preisangebot mit einem regionalen Partner. Ein Marketingteam sendet Kampagnenmaterial an eine Agentur. Ein Legal-Team tauscht Verträge mit externer Rechtsberatung aus. Ein Finance-Team sendet vertrauliche Berichte an Auditoren oder Investoren.

Das Risiko ist nicht die Zusammenarbeit selbst. Das Risiko entsteht, wenn ohne ausreichende Kontrolle geteilt wird.

Probleme treten meist in ganz normalen Workflows auf:

• geteilte Links bleiben nach Projektende aktiv
• Empfänger können Dateien uneingeschränkt herunterladen oder weiterleiten
• Zugriff wird auf Ordnerebene vergeben, obwohl Dateiebene sicherer wäre
• externe Nutzer behalten länger Zugriff als nötig
• vertrauliche Dokumente werden über private E-Mail-Konten oder kostenlose Transfer-Tools versendet
• Teams erstellen doppelte Kopien, weil das genehmigte System zu langsam ist

Externe Zusammenarbeit erhöht das Risiko zusätzlich, weil Personen außerhalb des Unternehmens nicht immer denselben Sicherheitsrichtlinien folgen. Ihre Geräte können unverwaltet sein, ihre Konten weniger geschützt und ihr Zugriff kann bestehen bleiben, obwohl das Projekt oder die Geschäftsbeziehung bereits beendet ist.

Remote-Teams müssen Dateien schnell teilen können. Gleichzeitig brauchen sie Ablaufdaten, Berechtigungskontrollen, Zugriffsprotokolle, Verschlüsselung und die Möglichkeit, Zugriffe zu widerrufen, wenn die Zusammenarbeit endet.

Sichere Zusammenarbeit bedeutet nicht nur, Dateien in der Cloud zu speichern. Es geht darum, die Kontrolle darüber zu behalten, wer auf Dateien zugreifen kann, was diese Personen damit tun dürfen und wie lange der Zugriff bestehen bleibt.

Ein sichererer Ansatz sind verschlüsselte Freigabelinks, Passwortschutz, Ablaufdaten, Download-Beschränkungen, Empfängerverifizierung und Aktivitätsprotokolle, insbesondere bei der Zusammenarbeit mit Kunden, Agenturen, Rechtsberatern, Lieferanten, Auftragnehmern oder Auditoren.

3. Schwaches Identitäts- und Zugriffsmanagement

Wenn Mitarbeitende von überall aus arbeiten können, wird Identität zu einer der wichtigsten Sicherheitskontrollen. Unternehmen müssen wissen, wer auf Daten zugreift, von welchem Gerät, von welchem Standort und ob diese Person den Zugriff weiterhin benötigt.

Häufige Identitäts- und Zugriffsrisiken sind:

• schwache oder wiederverwendete Passwörter
• fehlende MFA
• MFA-Fatigue-Angriffe
• gestohlene Session-Cookies
• gemeinsam genutzte Konten
• zu weitreichende Berechtigungen
• bösartige OAuth-Zustimmungsanfragen
• inaktive Konten, die nie deaktiviert wurden
• externe Kollaborationspartner, die nach Projektende weiterhin Zugriff behalten

MFA bleibt wichtig, aber Angreifer haben sich angepasst. Remote- und Hybrid-Work-Sicherheit erfordert heute stärkere Identitätskontrollen, etwa Conditional Access, Geräteprüfungen, phishing-resistente Authentifizierung, Session-Monitoring und schnelle Kontosperrung.

Permission Sprawl ist ein zentraler Teil dieses Problems. Zugriff wird häufig aus einem berechtigten Grund vergeben, aber selten mit derselben Konsequenz wieder entfernt. Ein Auftragnehmer, der bei einem Produktlaunch unterstützt hat, kann Monate später noch Zugriff auf Dokumente haben. Eine Agentur, die zu einem Kampagnenordner hinzugefügt wurde, kann möglicherweise alte Assets sehen, die nicht mehr relevant sind.

Das Prinzip der geringsten Rechte ist hier entscheidend. Mitarbeitende, Auftragnehmer und Partner sollten nur Zugriff auf die Dateien und Ordner haben, die sie wirklich benötigen. Zugriffsrechte sollten regelmäßig überprüft und entfernt werden, sobald sie nicht mehr erforderlich sind.

Für eine genauere Erklärung, wie Berechtigungen, Rollen und Least Privilege in der Praxis funktionieren, lesen Sie unseren Leitfaden zu Data Access Control.

In Remote- und Hybrid-Work-Umgebungen ist Identität die Kontrollschicht, die entscheidet, ob ein Nutzer, ein Gerät, ein Standort und eine Aktion vertrauenswürdig genug sind, um auf Unternehmensdaten zuzugreifen. Identitätskontrollen reichen jedoch nicht allein aus. Wenn ein Konto kompromittiert wird, helfen Dateiberechtigungen, Verschlüsselung, Download-Beschränkungen und Audit-Logs, den Schaden zu begrenzen.

4. Unsichere Netzwerke und Remote-Zugriff

Remote-Mitarbeitende verbinden sich über Heimnetzwerke, Hotels, Flughäfen, Cafés, Coworking Spaces und mobile Hotspots. Einige dieser Netzwerke sind für alltägliches Surfen ausreichend sicher, aber nicht für den Umgang mit vertraulichen Geschäftsdaten geeignet.

Für weitere praktische Hinweise zu diesem konkreten Risiko lesen Sie unseren Leitfaden dazu, wie Sie Ihr Netzwerk beim Arbeiten außerhalb des Büros schützen.

Öffentliche oder schlecht gesicherte WLANs können Nutzer gefälschten Netzwerken, Abfangversuchen und dem Diebstahl von Zugangsdaten aussetzen. Selbst zu Hause können schwache Router-Passwörter oder veraltete Einstellungen unnötige Risiken schaffen.

Unternehmen sollten Remote-Zugriffe bei Bedarf mit VPNs, Conditional Access, IP-Filterung, Geräteprüfungen und stärkerer Authentifizierung bei ungewöhnlichen Anmeldeversuchen schützen. Zugriffsregeln sollten das jeweilige Risiko berücksichtigen. Ein bekannter Mitarbeitender auf einem zugelassenen Gerät benötigt möglicherweise nicht dieselben Prüfungen wie ein Login von einem neuen Standort oder einem unbekannten Gerät.

5. Schwache Gerätesicherheit

Bei Remote Work werden Laptops und Smartphones Teil der Sicherheitsgrenze. Wenn ein Gerät verloren geht, geteilt wird, infiziert ist oder nicht verwaltet wird, können auch die Dateien und Konten gefährdet sein, auf die es zugreifen kann.

Häufige gerätebezogene Risiken sind:

• veraltete Software
• keine Bildschirmsperre
• lokale Downloads sensibler Dateien
• private Geräte, die für Unternehmensdokumente genutzt werden
• fehlender Endpoint-Schutz
• keine Möglichkeit zur Remote-Löschung
• Arbeitsdateien, die mit nicht verwalteten Ordnern synchronisiert werden

Gerätesicherheit sollte Festplattenverschlüsselung, Software-Updates, Endpoint-Schutz, Mobile Device Management, automatische Sperren und die Möglichkeit umfassen, den Zugriff von verlorenen oder alten Geräten zu entfernen.

Gerätesicherheit und Identitätsmanagement greifen ineinander. Ein vertrauenswürdiger Nutzer auf einem unverwalteten oder kompromittierten Gerät kann weiterhin Risiko erzeugen. Gleichzeitig hilft ein sicheres Gerät wenig, wenn das Konto übernommen wurde.

6. Shadow IT und KI-gestützter Datenabfluss

Mitarbeitende nutzen Shadow IT in der Regel nicht, weil sie Risiko schaffen wollen. Sie nutzen sie, weil sie ihre Arbeit erledigen müssen.

Wenn genehmigte Systeme externes Teilen oder die Dokumentenarbeit erschweren, weichen Teams möglicherweise auf andere Lösungen aus:

• private Cloud-Speicher
• Verbraucher-File-Transfer-Dienste
• private Messaging-Apps
• nicht genehmigte KI-Tools
• private E-Mail-Konten
• Browser-Erweiterungen
• lokale Downloads und erneute Uploads

Generative KI hat diesem Risiko eine neue Dimension gegeben. Mitarbeitende nutzen KI-Tools möglicherweise, um Meeting-Notizen zusammenzufassen, Kunden-E-Mails umzuschreiben, Rechts- oder Vertriebsdokumente zu übersetzen, Tabellen zu analysieren, wichtige Punkte aus Verträgen zu extrahieren oder Kampagnentexte zu entwerfen.

Das Sicherheitsproblem ist nicht die Nutzung von KI an sich. Das Problem ist unkontrollierte KI-Nutzung. Wenn Mitarbeitende vertrauliche Informationen in öffentliche oder nicht genehmigte Tools kopieren, kann das Unternehmen die Kontrolle darüber verlieren, wo diese Daten verarbeitet, gespeichert, aufbewahrt oder überprüft werden. Besonders riskant ist das bei Kundendaten, HR-Dokumenten, Verträgen, Preisinformationen, Board-Unterlagen, Finanzberichten, Quellcode oder Akquisitionsplänen.

Remote Work erschwert die Überwachung zusätzlich, weil KI-Nutzung oft über Browser, Erweiterungen, private Konten und nicht freigegebene Apps stattfindet. Ein Teammitglied möchte vielleicht nur schneller arbeiten. Das Ergebnis kann jedoch sein, dass sensible Daten außerhalb genehmigter Systeme offengelegt werden.

Unternehmen brauchen klare Regeln für den Umgang mit Daten in KI-Tools. Mitarbeitende sollten wissen, welche Informationen mit genehmigten KI-Tools verwendet werden dürfen, welche Daten eingeschränkt sind und welche Workflows sichere, unternehmenskontrollierte Umgebungen erfordern.

KI hat die Angriffsfläche von Remote Work erweitert, weil Mitarbeitende sensible Informationen heute in Tools verschieben können, die außerhalb genehmigter Kollaborationssysteme liegen. Das praktische Risiko ist nicht KI selbst, sondern dass vertrauliche Daten in Dienste kopiert werden, bei denen Retention, Zugriff, Compliance und Auditierbarkeit nicht klar kontrolliert sind.

Häufige Fehler, die Remote-Teams machen

Sicherheitsprobleme bei Remote Work entstehen oft durch kleine Entscheidungen im Arbeitsalltag, nicht durch spektakuläre technische Ausfälle.

Ein häufiger Fehler ist die Annahme, dass Cloud-Speicher automatisch sichere Zusammenarbeit bedeutet. Cloud-Tools machen Dateien leicht zugänglich, aber das heißt nicht, dass der Zugriff richtig kontrolliert, verschlüsselt oder nachvollziehbar ist.

Ein weiterer Fehler ist die zu starke Abhängigkeit von Passwörtern. Ein gestohlenes Passwort kann E-Mails, Dateien und Geschäftsanwendungen öffnen, wenn keine MFA aktiviert ist.

Teams vergessen außerdem häufig, Zugriffe zu entfernen. Ein Auftragnehmer, eine Agentur oder ein Berater kann noch lange nach Projektende Zugriff auf Projektordner haben.

Nicht verwaltete Downloads sind ein weiteres Risiko. Eine Datei kann innerhalb einer sicheren Plattform geschützt sein, wird aber angreifbar, sobald sie auf einen privaten Laptop heruntergeladen oder als Anhang weitergeleitet wird.

Der letzte Fehler besteht darin, Sicherheit zu kompliziert zu machen. Wenn der genehmigte Weg zum Teilen einer Datei langsamer ist als die riskante Abkürzung, entscheiden sich Mitarbeitende oft für Geschwindigkeit. Gute Remote-Work-Sicherheit muss Risiken reduzieren, ohne unnötige Reibung zu erzeugen.

Secure-by-Design-Prinzipien für die Zusammenarbeit

Sichere Remote-Zusammenarbeit funktioniert am besten, wenn Schutzmaßnahmen direkt in den Workflow integriert sind und nicht nachträglich ergänzt werden.

Erstens sollten Dateien im Ruhezustand, bei der Übertragung und während des Teilens verschlüsselt sein. Ende-zu-Ende-Verschlüsselung bietet stärkeren Schutz, weil Dateien verschlüsselt werden, bevor sie das Gerät des Nutzers verlassen, und nur von autorisierten Empfängern entschlüsselt werden können.

Zweitens sollte der Zugriff auf Datei-, Ordner- und Workspace-Ebene kontrolliert werden. Administratoren sollten verwalten können, wer Dateien anzeigen, bearbeiten, herunterladen oder teilen darf, einschließlich externer Partner.

Drittens sollte das Teilen von Dateien nachvollziehbar sein. Teams brauchen Transparenz darüber, wer auf eine Datei zugegriffen hat, wann sie geöffnet wurde, ob sie heruntergeladen wurde und ob Berechtigungen geändert wurden.

Auditierbarkeit unterstützt auch die Compliance. Richtlinien allein reichen nicht aus, wenn ein Unternehmen nicht nachweisen kann, wie sensible Daten aufgerufen, geteilt, heruntergeladen oder widerrufen wurden. Sichere Kollaborationsplattformen helfen Remote-Teams effizient zu arbeiten und geben IT-, Legal-, Compliance- und Security-Teams die nötige Transparenz.

Viertens sollten sichere Tools zu bestehenden Workflows passen. Wenn Mitarbeitende bereits mit E-Mail, Microsoft 365 oder Google Workspace arbeiten, sollte sicheres Teilen dort verfügbar sein, statt Nutzer in einen separaten Prozess zu zwingen.

Sichere Remote-Zusammenarbeit basiert auf drei Kontrollen, die zusammenspielen: Verschlüsselung zum Schutz der Inhalte, Identitätsmanagement zur Überprüfung der Nutzer und Zugriffskontrolle zur Steuerung dessen, was nach dem Teilen mit Dateien geschieht.

Was eine Remote-Work-Sicherheitsrichtlinie enthalten sollte

Eine starke Remote-Work-Sicherheitsrichtlinie sollte praktisch genug sein, damit Mitarbeitende sie im Arbeitsalltag befolgen können.

Sie sollte Folgendes abdecken:

• zulässige Nutzung von Geräten, Netzwerken, Apps und Cloud-Tools
• Regeln für Remote-Zugriff von zu Hause, aus öffentlichen Umgebungen und auf Reisen
• MFA, Passwörter, Single Sign-on und Zugriffsüberprüfungen
• Anforderungen an Gerätesicherheit, einschließlich Updates und Verschlüsselung
• Regeln für sicheres Teilen von Dateien in der internen und externen Zusammenarbeit
• Meldewege bei verlorenen Geräten, Phishing oder versehentlichem Teilen
• klare Regeln für den Umgang mit vertraulichen Daten in KI-Tools
• regelmäßige Sicherheitsschulungen auf Basis realer Arbeitsabläufe

Die Richtlinie sollte klar erklären, was Mitarbeitende tun sollen, wenn sie eine vertrauliche Datei senden, über ein öffentliches WLAN arbeiten, einen externen Partner einladen, KI-Tools für Arbeitsinhalte nutzen oder eine verdächtige Nachricht melden müssen.

Wie Tresorit sichere Remote-Zusammenarbeit unterstützt

Tresorit wurde für Unternehmen entwickelt, die remote und hybrid zusammenarbeiten müssen, ohne die Kontrolle über sensible Daten zu verlieren.

Mit Zero-Knowledge- und Ende-zu-Ende-Verschlüsselung werden Dateien verschlüsselt, bevor sie das Gerät des Nutzers verlassen. Tresorit kann die Inhalte nicht lesen, da Tresorit die Entschlüsselungsschlüssel der Nutzer nicht besitzt.

Für Remote- und Hybrid-Teams unterstützt dies eine sicherere Zusammenarbeit zwischen Mitarbeitenden, Partnern, Kunden und externen Stakeholdern. Administratoren können Zugriffe verwalten, Geräte kontrollieren, Freigaberichtlinien anwenden, Zwei-Stufen-Verifizierung verlangen, IP-Filterung nutzen und Zugriffe bei Bedarf widerrufen.

Tresorit hilft außerdem dabei, riskante E-Mail-Anhänge zu reduzieren, indem Nutzer verschlüsselte Freigabelinks über vertraute Workflows wie Microsoft 365, Google Workspace, Outlook und Gmail versenden können.

Für Teams, die sensible Informationen von Kunden, Partnern, Bewerbenden oder Lieferanten erfassen müssen, ergänzt Tresorit Engage die sichere Zusammenarbeit um eine geschützte Intake-Ebene. Statt externe Personen aufzufordern, vertrauliche Dokumente über unsichere E-Mail-Anhänge oder Consumer-Upload-Tools zu senden, können Unternehmen vertrauliche Unterlagen über verschlüsselte, zugriffskontrollierte Workflows empfangen. So bleibt die externe Dokumentenerfassung geschützt, ohne den Prozess für die einreichenden Personen unnötig zu erschweren.

Das ist wichtig, weil sichere Zusammenarbeit Mitarbeitende nicht vor die Wahl zwischen Produktivität und Schutz stellen sollte. Die sicherste Option sollte zugleich die einfachste sein.

Fazit

Remote-Work-Sicherheit bedeutet heute nicht mehr nur, Mitarbeitende außerhalb des Büros zu schützen. In einer Hybrid-Work-Umgebung geht es darum, Dateien, Identitäten, Geräte und Zusammenarbeit überall dort abzusichern, wo Arbeit stattfindet.

Der stärkste Ansatz kombiniert verschlüsseltes Teilen von Dateien, sicheren Zugriff, MFA, Geräteschutz, Zugriffskontrolle, klare KI-Datenregeln und praktische Schulungen für Mitarbeitende.

Für Remote- und Hybrid-Teams gilt ein einfacher Grundsatz: Wenn Menschen sicher zusammenarbeiten können, ohne ihre Arbeitsweise ändern zu müssen, wird Sicherheit zum Enabler statt zum Hindernis.